服务器改动后HttpClient报SSLPeerUnverifiedException，HttpUrlConnection正常

嘿，我之前也踩过类似的坑，咱们一步步拆解这个问题～

首先，这个异常的核心是HttpClient在SSL握手时没拿到服务器的有效证书，或者无法验证证书有效性，但HttpUrlConnection能正常工作，说明两者的SSL处理逻辑存在差异，大概率是配置或版本支持的问题。下面是最常见的几个原因和对应的解决办法：

1. HttpClient的SSL信任配置与系统默认不一致 #

HttpUrlConnection默认会用JRE自带的cacerts信任库（存储了主流CA的根证书），但很多时候我们会给HttpClient自定义SSL上下文，或者用了旧版本的HttpClient，导致它的信任库不包含服务器更新后的证书：

• 如果你的项目里自定义了信任管理器，检查是否把服务器新部署的根证书添加到了信任列表里；
• 要是想让HttpClient和HttpUrlConnection一样使用系统默认信任库，可以这样配置（以HttpClient 4.x为例）：

  SSLContext sslContext = SSLContexts.createDefault();
  SSLConnectionSocketFactory sslSocketFactory = new SSLConnectionSocketFactory(sslContext);
  CloseableHttpClient httpClient = HttpClients.custom()
      .setSSLSocketFactory(sslSocketFactory)
      .build();
  

• 另外，旧版本的HttpClient（比如4.2及以前）对新SSL协议和证书的支持不够友好，建议直接升级到4.5+版本。

2. 服务器证书链不完整 #

服务器改动后可能出现证书链配置错误——比如只返回了最上层的叶子证书，没返回中间证书。HttpUrlConnection会自动尝试从系统信任库补充缺失的中间证书，但HttpClient默认不会做这个自动补全操作，导致无法完成证书验证：

• 你可以用openssl s_client -connect your-server-domain:443命令检查服务器返回的证书链，看看输出里的Certificate chain部分是否包含完整的层级；
• 如果确实是证书链问题，联系服务器团队修复配置，确保服务器返回完整的证书链（叶子证书→中间证书→根证书）。

3. SNI（Server Name Indication）支持差异 #

如果你的服务器是多域名共享同一个IP（比如云虚拟主机），SNI是必须的——它能让服务器知道你要访问哪个域名，从而返回对应的证书。

• 旧版本的HttpClient（4.3之前）默认不支持SNI，握手时服务器可能返回错误的证书或者干脆不返回；
• 而HttpUrlConnection在JDK 7及以上版本默认支持SNI；
• 解决办法是给HttpClient启用SNI支持（以4.3+版本为例）：

  SSLContext sslContext = SSLContexts.createDefault();
  SSLConnectionSocketFactory sslSocketFactory = new SSLConnectionSocketFactory(
      sslContext,
      new String[]{"TLSv1.2"}, // 指定支持的SSL协议
      null,
      SSLConnectionSocketFactory.getDefaultHostnameVerifier() // 启用SNI的主机名验证器
  );
  CloseableHttpClient httpClient = HttpClients.custom()
      .setSSLSocketFactory(sslSocketFactory)
      .build();
  

你可以先从检查服务器证书链和HttpClient版本这两点入手，大概率能解决问题～

内容的提问来源于stack exchange，提问作者Nishan Khadka